PT-2026-31005 · Plane · Plane

Tristaninsec · CVE-2026-39374 · Publicado 2026-04-07 · Atualizado 2026-04-08

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.7

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:N

Name of the Vulnerable Software and Affected Versions Plane versões anteriores a 1.3.0

Description Plane, uma ferramenta de gerenciamento de projetos de código aberto, possui uma falha onde o IssueBulkUpdateDateEndpoint permite que um membro do projeto com privilégios de ADMIN ou MEMBER modifique as datas de start date e target date de qualquer issue em toda a instância do Plane, independentemente do workspace ou da associação ao projeto. O endpoint recupera issues por ID sem filtragem adequada, levando à modificação de dados entre limites.

Recommendations Atualize para a versão 1.3.0 ou posterior.

Exploit

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-39374

GHSA-4Q54-H4X9-M329

Produtos afetados

Plane

Referências · 5

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/39xxx/CVE-2026-39374.json · Exploit
• https://github.com/makeplane/plane/security/advisories/GHSA-4q54-h4x9-m329 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2041711901915381786 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-39374 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-39374 · Nota de Segurança